V2EX = way to explore
V2EX 是一个关于分享和探索的地方
现在注册
已注册用户请  登录
工单节点使用指南
• 请用平和的语言准确描述你所遇到的问题
• 厂商的技术支持和你一样也是有喜怒哀乐的普通人类,尊重是相互的
• 如果是关于 V2EX 本身的问题反馈,请使用 反馈 节点
牛客网
Suclogger
V2EX  ›  全球工单系统

TikTok 通过 schemes 嗅探设备已安装应用

  •  
  •   Suclogger · 118 天前 · 1627 次点击
    这是一个创建于 118 天前的主题,其中的信息可能已经有所发展或是发生改变。

    来源:谷歌安全研究员 Ivn (@ivRodriguezCA) / Twitter

    TikTok snooping on users' pasteboard, so I had to take a look.

    Their main app's [YYTextView _initTextView] method:

    ...

    haha TikTok can handle all the URL schemes in the world. LSApplicationQueriesSchemes:

    1

    2

    参与讨论的tbodt表示:

    it doesn't handle these schemes, it asks the system if something handles these schemes, so it can detect whether any of these apps are installed

    [谷歌翻译] 它不处理这些方案,而是询问系统是否有东西可以处理这些方案,因此它可以检测是否安装了这些应用程序

    第 1 条附言  ·  118 天前

    注册schemes列表如下

    
    ```plist
    <key>CFBundlePackageType</key>
    <->APPL</->
    <key>LSApplicationQueriesSchemes</key>
    <array>
    	<->capcut</->
    	<->lark</->
    	<->viber</->
    	<->wechat</->
    	<->mtmv</->
    	<->weixin</->
    	<->sinaweibohd</->
    	<->sinaweibo</->
    	<->sinaweibosso</->
    	<->weibosdk</->
    	<->weibosdk2.5</->
    	<->mqqapi</->
    	<->mqq</->
    	<->mqqOpensdkSSoLogin</->
    	<->mqqconnect</->
    	<->mqqopensdkdataline</->
    	<->mqqopensdkgrouptribeshare</->
    	<->mqqopensdkfriend</->
    	<->mqqopensdkapi</->
    	<->mqqopensdkapiV2</->
    	<->mqqopensdkapiV3</->
    	<->mqzoneopensdk</->
    	<->wtloginmqq</->
    	<->wtloginmqq2</->
    	<->mqqwpa</->
    	<->mqzone</->
    	<->mqzonev2</->
    	<->mqzoneshare</->
    	<->wtloginqzone</->
    	<->mqzonewx</->
    	<->mqzoneopensdkapiV2</->
    	<->mqzoneopensdkapi19</->
    	<->mqzoneopensdkapi</->
    	<->mqzoneopensdk</->
    	<->fbapi</->
    	<->fb-messenger-api</->
    	<->fbauth2</->
    	<->fbshareextension</->
    	<->kakao61f447fe9723aa9c0b67a52eeb998e77</->
    	<->kakaokompassauth</->
    	<->storykompassauth</->
    	<->kakaolink</->
    	<->kakaotalk-5.9.7</->
    	<->storylink</->
    	<->line</->
    	<->instagram</->
    	<->instagram-stories</->
    	<->lineauth</->
    	<->line3rdp.com.zhiliaoapp.musically</->
    	<->whatsapp</->
    	<->fb-messenger-platform-20150714</->
    	<->fb-messenger-platform-20150305</->
    	<->fb-messenger-platform-20150218</->
    	<->fb-messenger-platform-20150128</->
    	<->bbmi</->
    	<->zalo</->
    	<->musically</->
    	<->likevideo</->
    	<->com.xkeam.muvik</->
    	<->snapchat</->
    	<->kwai</->
    	<->mixch</->
    	<->com.hdv.vivavideofree2015</->
    	<->twitter</->
    	<->twitterauth</->
    	<->bandapp</->
    	<->kakaostory</->
    	<->navercafe</->
    	<->naverblog</->
    	<->vkauthorize</->
    	<->vk</->
    	<->vk-share</->
    	<->fb-messenger-share-api</->
    	<->fb-messenger</->
    	<->itms-beta</->
    	<->heloiossso</->
    	<->comgooglemaps</->
    	<->qqmap</->
    	<->baidumap</->
    	<->iosamap</->
    	<->resso</->
    </array>
    
    14 条回复    2020-08-01 12:21:19 +08:00
    Jirajine
        1
    Jirajine   118 天前 via Android
    用这么麻烦?获取已安装应用又不需要权限。
    Suclogger
        2
    Suclogger   118 天前
    @Jirajine #1 iOS 下有沙盒限制,无法直接获取
    est
        3
    est   118 天前
    国内 app 常规操作。一家推送全桶唤醒。。
    qyd0801
        4
    qyd0801   118 天前 via Android
    @est #3 ios
    w99w
        5
    w99w   118 天前
    这个 schemes 列表是 APP 被查询时用到的。
    icyalala
        6
    icyalala   118 天前
    YYTextView 是个开源库,
    Scheme 列表除了判断是否安装以外,如果你需要接入诸如 QQ 微信微博登录也是要写上的。
    我看不出这些有什么问题。。
    mcluyu
        7
    mcluyu   118 天前
    这不是常规操作么,这也没多少啊,大多数都是为了分享到目标 APP,要想石锤,好歹也逆向一下,找到循环调用测试是否安装该 APP 的代码才有说服力吧。
    dorentus
        8
    dorentus   118 天前   ❤️ 2
    ivRodriguezCA 真的是谷歌安全研究员?
    连 LSApplicationQueriesSchemes 是做什么的都不知道……
    YYTextView 没听过倒是还正常,但是随便 Google 搜索一下都不会……
    Telegram
        9
    Telegram   118 天前
    @dorentus #8 就是,打脸打的啪啪啪,
    3 楼也是,看到国产 APP 被怀疑就开喷、、、
    hoyixi
        11
    hoyixi   118 天前   ❤️ 1
    无所谓,反正这是一款中国人禁止入内的 App
    akira
        12
    akira   118 天前
    所以 结论是什么?
    Telegram
        13
    Telegram   117 天前 via iPhone
    @akira #12 结论是苹果 ios9 以后规定,你的 app 需要调起其他 app,比如分享到朋友圈或者分享到微博,需要提前把对方的 schemes 写在你的 info.plist 里,可以理解为白名单,这个列表最大是 50 个。
    这个地摊安全员,一看就是不写 ios 的,只会解个包,看看资源文件,就想搞个大新闻。
    Battle
        14
    Battle   86 天前
    @est 不懂的东西,可以不用评论的
    关于   ·   FAQ   ·   API   ·   我们的愿景   ·   广告投放   ·   感谢   ·   实用小工具   ·   3002 人在线   最高记录 5168   ·     Select Language
    创意工作者们的社区
    World is powered by solitude
    VERSION: 3.9.8.5 · 37ms · UTC 13:41 · PVG 21:41 · LAX 06:41 · JFK 09:41
    ♥ Do have faith in what you're doing.